Alpine-jakelun kehittäjät Linux He paljastivat tietoja yrityksistä hakkeroida gitlab.alpinelinux.org-yhteistyökehitysalusta, jossa työskenneltiin APK-paketinhallintaohjelman, käännöstyökalujen, infrastruktuurikomponenttien ja pakettien käännösskriptien (aports) parissa. Hyökkäys tehtiin hyödyntämällä GitLab-alustan haavoittuvuutta, jonka aiheutti Rubyn säännöllisten lausekkeiden moottorin kokonaisluvun ylivuoto. Onnistuneesta hakkeroinnista ei löytynyt todisteita tai jälkiä, mutta koska haavoittuvuuden onnistunutta hyödyntämistä ei voida täysin sulkea pois, GitLab-säilön katsottiin olevan mahdollisesti vaarantunut ja sen sisältö rakennettiin kokonaan uudelleen alusta alkaen, ja käyttäjille aloitettiin salasanan palautusprosessi.
Alpine-infrastruktuurin ylläpitäjät Linux Kolmannen osapuolen tiedostoja, epäilyttäviä käynnissä olevia prosesseja, epätavallisia API-kutsuja, asetusten tai järjestelmätiedostojen muutoksia tai massatietojen poiminnalle tyypillisiä kuormituspiikkejä ei havaittu. Aports-arkiston, pakettien ja julkaisutiedostojen eheyden analyysi sekä niiden varmennus ulkoisten koontipalvelimien ja kehittäjäjärjestelmien kopioita vasten ei paljastanut piilotettuja muutoksia.
Lähtevien verkkoyhteyksien tietojen puute, joidenkin lokien poistaminen rotaation aikana (esimerkiksi cron-lokin) ja verkkopalvelinlokien riittämättömät tiedot (hyökkäyksen onnistunut käyttö, joka ei johda kaatumiseen, ei näy lokissa) tekevät mahdottomaksi sulkea pois onnistuneen hyökkäyksen täysin.
Jos hyökkäys onnistuisi, hyökkääjät voisivat saada pääsyn tietokantaan, joka sisältää tietoja kaikista GitLab-käyttäjistä (salasanojen tiivisteet, sähköpostiosoitteet, IP-osoitteet jne.), jatkuvan integraation järjestelmien ympäristömuuttujat ja tokenit, kaksivaiheiset todennuskoodit, henkilökohtaisten käyttöoikeustunnusten tiivisteet, yksityisten tietovarastojen sisältö ja luottamukselliset keskustelut ongelmista. Avaimet digitaalisten allekirjoitusten luomiseen hyökkäyksen kohteena olevalla palvelimella oleville julkaisuille ja paketeille. palvelin ei tallennettu.
Ensimmäiset yritykset hyödyntää haavoittuvuutta rekisteröitiin 20. ja 21. lokakuuta. Hyökkääjä rekisteröi GitLab-tilin ja yritti lähettää muokattuja asetuksia jatkuvan integraation järjestelmään. Lokitiedostoihin kirjattiin kahdeksan GitLab-prosessin kaatumista, joista neljä liittyi hyväksikäyttöön. Hyökkäyksen ensimmäinen vaihe onnistui, mutta toinen vaihe epäonnistui.
Hyökkäyksen aikaan kontti käytti haavoittuvaa versiota GitLab 19.3.4:stä, joka päivitettiin GitLab 19.3.6:een 22. lokakuuta. Alpinen ylläpitäjät eivät kuitenkaan ottaneet huomioon, että korjaus sisältyi vain virallisiin GitLab 19.3.6 -asennuspaketteihin, ei itse GitLab-koodiin, koska haavoittuvuus sijaitsee Ruby-työkaluketjussa. Kontti käytti edelleen vanhempaa Ruby-työkaluketjua, eikä haavoittuvuutta korjattu.
Jäljellä oleva haavoittuvuus löydettiin vasta 26. lokakuuta. Lokitietojen analyysi paljasti, että hyökkääjät jatkoivat hyökkäyksiään 25. ja 26. lokakuuta. Kolmansien osapuolten pääsyä GitLabiin rajoitettiin 27. lokakuuta. 28. lokakuuta sisältö rakennettiin uudelleen, kaikki salasanat nollattiin (käyttäjien piti asettaa uusi salasana unohtuneen salasanan palautusmenettelyn kautta) ja käyttöoikeudet vaihdettiin. 29. lokakuuta julkaistiin päivitetty... palvelin otettiin käyttöön. Projektin ylläpitämä Docker-kontti alpinelinux/gitlab pysyi haavoittuvana 27. lokakuuta asti.
Lähde: opennet.ru
